Madrid es una comunidad autónoma uniprovincial: no hay diputación, y las competencias de ámbito provincial las asume la propia comunidad. Lo que sí hay es una concentración de compradores públicos difícil de igualar — la Administración General del Estado, la Comunidad de Madrid, el Ayuntamiento, las universidades públicas y el servicio madrileño de salud — y un rasgo que conviene aprovechar: aquí el estado de conformidad con el ENS es público y consultable. El Ayuntamiento de Madrid publica su certificado de conformidad a través de su Centro de Ciberseguridad, y Madrid Digital, la agencia digital de la Comunidad, mantiene certificado ENS en categoría MEDIA —ENS-2024/0013, vigente hasta el 7 de febrero de 2027— sobre el alojamiento de sus sistemas de información, la Plataforma Electrónica de Expedientes y Procedimientos Administrativos y la gestión de accesos remotos a la red corporativa (ARCO); su certificado en categoría BÁSICA ENS-2024/0011 no cubría a la entidad entera, sino el servicio de «Paso a Producción» de esos sistemas, y su vigencia fue del 7 de febrero de 2024 al 7 de febrero de 2026. Summum Sistemas prepara el lado del proveedor: la implantación técnica que sostiene esa conformidad.
Que los certificados sean públicos no es una curiosidad administrativa: es una obligación de la norma y una ventaja operativa. El artículo 38.2 del RD 311/2022 establece que los sujetos responsables de los sistemas de información darán publicidad, en los correspondientes portales de internet o sedes electrónicas, a las declaraciones y certificaciones de conformidad con el ENS. Para un proveedor que prepara una oferta, eso significa que puede saber de antemano en qué categoría está certificado el organismo con el que va a interoperar y, por tanto, anticipar el nivel de exigencia que va a bajar al pliego. Es la diferencia entre preparar un expediente genérico y preparar el que corresponde.
La obligación del proveedor viene del artículo 2.3, que aplica el real decreto a los sistemas de información de las entidades del sector privado — incluida la obligación de contar con la política de seguridad del artículo 12 — cuando, en virtud de una relación contractual, presten servicios o provean soluciones a entidades del sector público para el ejercicio por estas de sus competencias y potestades administrativas. El mismo artículo obliga a que los pliegos contemplen los requisitos necesarios para asegurar la conformidad, mencionando expresamente las Declaraciones o Certificaciones de Conformidad, y extiende la cautela a la cadena de suministro del contratista. En un mercado como el madrileño, donde el comprador tiene equipos de ciberseguridad propios y experiencia acumulada de auditorías, la conversación técnica empieza en un nivel más alto que en otros territorios.
El trabajo técnico, en consecuencia, se juzga por evidencias, no por documentación. Determinamos la categoría conforme al Anexo I valorando el impacto sobre las cinco dimensiones del artículo 40.2 — disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad —, ejecutamos el análisis de riesgos con MAGERIT modelado en PILAR según la guía CCN-STIC-839 del Centro Criptológico Nacional, e implantamos las medidas del Anexo II, que reúne 73 medidas en 16 familias repartidas en tres marcos: organizativo, operacional y de protección. Cada medida lleva asignado su nivel de exigencia por categoría, con refuerzos que el propio anexo numera de R1 en adelante. Y una precisión que importa cuando el interlocutor sabe del tema: ni MAGERIT ni PILAR aparecen en el articulado del RD 311/2022. Son metodología y herramienta del CCN, no una imposición de la norma; usarlas es una decisión de método, y así se explica.
Antes de dimensionar nada, consultamos las declaraciones y certificaciones que la propia administración publica al amparo del artículo 38.2. Saber en qué categoría está certificado el sistema con el que vas a interoperar es el mejor predictor de lo que te va a exigir el pliego.
Delimitamos qué sistemas tuyos entran en alcance y fijamos la categoría valorando el impacto sobre las cinco dimensiones del artículo 40.2. La categoría determina el subconjunto exigible del Anexo II, los refuerzos aplicables y la vía de conformidad del artículo 38.
Implantamos las medidas técnicas dejando desde el primer día la evidencia asociada: configuraciones, registros de actividad, resultados de análisis de vulnerabilidades. Con un comprador que audita de verdad, la evidencia generada a posteriori se nota y resta credibilidad al expediente.
Preparamos la vía que corresponda según el artículo 38.1: autoevaluación para la declaración de conformidad en categoría BÁSICA —que puede someterse igualmente a una auditoría de certificación—, o auditoría de certificación en MEDIA y ALTA. Revisamos el sistema contra el Anexo III antes de exponerlo a la revisión externa.
El detalle operativo: lo que entregamos como parte del trabajo y lo que mantenemos vivo después.
Análisis del estado de conformidad publicado por el comprador
Revisión de las declaraciones y certificaciones que la administración destinataria publica conforme al artículo 38.2, para anticipar categoría y exigencias antes de dimensionar el proyecto.
Informe de categorización según el Anexo I
Justificación de la categoría con la valoración de impacto sobre las cinco dimensiones del artículo 40.2, diferenciada por servicio prestado.
Análisis de riesgos MAGERIT modelado en PILAR
Conforme a la CCN-STIC-839 del CCN: activos esenciales y de soporte, amenazas, salvaguardas y riesgo residual, con actualización mínima anual o ante cambios significativos.
Implantación de medidas del Anexo II con evidencia trazable
Control de accesos (op.acc), explotación (op.exp), monitorización (op.mon) y protección de comunicaciones (mp.com), cada una con su evidencia asociada y su criterio de verificación definido de antemano.
Criptografía e interconexión conforme a CCN-STIC
Configuración criptográfica según la CCN-STIC-807 — TLS 1.2 como versión mínima, AES-256, SHA-256 o superior, HSM en categoría ALTA — y diseño de zonas e interconexión según la CCN-STIC-811.
Preparación de la revisión externa
Revisión previa contra el Anexo III, corrección de desviaciones y organización del paquete de evidencias en el orden en que se va a revisar, para que la auditoría no se convierta en una búsqueda de ficheros.
Summum Sistemas cubre el plano técnico y Summum Calidad el de gestión: política de seguridad, declaración de aplicabilidad y encaje con ISO 27001. En Madrid la coordinación entre ambos planos se nota especialmente, porque el comprador suele tener equipo propio de ciberseguridad y detecta enseguida cuando el documento y el sistema no cuentan la misma historia.
Servicio ENS principal de Summum Sistemas: visión completa del acompañamiento técnico al ENS para proveedores de la Administración, con el catálogo completo de familias de medidas, metodologías CCN y vías de conformidad disponibles.
Ver servicio → calidadSummum Calidad se ocupa del plano normativo y de gestión del ENS en Madrid: categorización, Declaración de Aplicabilidad, política de seguridad e integración con ISO 27001 para proveedores de la Comunidad de Madrid y el Ayuntamiento. El trabajo técnico de Sistemas y el documental de Calidad se coordinan para cubrir el ENS en su totalidad.
Ver servicio →La Comunidad de Madrid es uniprovincial y asume las competencias que en otros territorios corresponden a la diputación. El mapa de compradores públicos lo forman la Administración General del Estado, la propia Comunidad de Madrid y sus organismos, el Ayuntamiento de Madrid y el resto de ayuntamientos, las universidades públicas y el servicio madrileño de salud. Todas son entidades del sector público a efectos del artículo 2.1 del RD 311/2022, que remite al artículo 2 de la Ley 40/2015.
Sí, y conviene hacerlo antes de preparar la oferta. El artículo 38.2 del RD 311/2022 obliga a los sujetos responsables a dar publicidad a las declaraciones y certificaciones de conformidad en sus portales de internet o sedes electrónicas. El Ayuntamiento de Madrid publica su certificado de conformidad a través de su Centro de Ciberseguridad, y Madrid Digital publica los suyos: el ENS-2024/0013, en categoría MEDIA, vigente hasta el 7 de febrero de 2027, cuyo alcance es el alojamiento de sus sistemas de información, la Plataforma Electrónica de Expedientes y Procedimientos Administrativos y la gestión de accesos remotos a la red corporativa (ARCO); y el ENS-2024/0011, en categoría BÁSICA, circunscrito al servicio de «Paso a Producción» de esos sistemas, cuya vigencia fue del 7 de febrero de 2024 al 7 de febrero de 2026. Conviene comprobar el estado vigente en el momento de preparar la oferta.
No hay una regla automática. La categoría de tu sistema se determina por el impacto que tendría un incidente sobre la información y los servicios que tú manejas, valorado sobre las cinco dimensiones del artículo 40.2 y siguiendo el procedimiento del Anexo I. Conocer la categoría del comprador ayuda a anticipar la conversación y a no sobredimensionar, pero la categorización de tu sistema es tuya y hay que justificarla.
No. Es una confusión frecuente y conviene deshacerla: ni «MAGERIT» ni «PILAR» aparecen en el articulado del RD 311/2022. Son la metodología de análisis y gestión de riesgos y la herramienta asociada del Centro Criptológico Nacional, documentadas en la guía CCN-STIC-839. Se usan porque son la referencia de facto en el sector público español y porque producen un resultado trazable que los equipos técnicos de la administración reconocen, no porque la norma las imponga.
La fija el artículo 38.1 del RD 311/2022. Los sistemas de categoría BÁSICA solo requieren una autoevaluación para su declaración de conformidad, sin perjuicio de que puedan someterse igualmente a una auditoría de certificación. Los sistemas de categoría MEDIA o ALTA precisan de una auditoría para la certificación de su conformidad. Tanto la autoevaluación como la auditoría se realizan según lo dispuesto en el artículo 31 y el Anexo III.
Hacemos la parte técnica: alcance, categorización, análisis de riesgos, implantación de las medidas del Anexo II, hardening, monitorización y paquete de evidencias. Queda fuera la emisión del certificado, que corresponde a un tercero; el artículo 38.1 remite a la Instrucción Técnica de Seguridad correspondiente para los requisitos exigibles a las entidades certificadoras.